CVE-2026-83608 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto in puro JavaScript. Prima delle versioni 0.8.15 e 0.9.12 di @xmldom/xmldom, nonché nelle versioni 0.6.0 e precedenti di xmldom, il ramo DOCUMENT_TYPE_NODE in lib/dom.js convalida publicId, systemId e internalSubset sotto requireWellFormed: true ma emette DocumentType.name verbatimamente. Un nome contenente > o spazi bianchi può terminare la dichiarazione <!DOCTYPE ...> e iniettare markup fratello; il valore può essere fornito tramite createDocumentType() sulle linee 0.8.x e non scoperchiate, oppure attraverso una scrittura diretta della proprietà DocumentType.name su ogni linea interessata. Il percorso predefinito e il comportamento legacy alla creazione rimangono permissivi, mentre il percorso stretto vulnerabile non applica un XML Name corretto. Questo problema è risolto nelle versioni 0.8.15 e 0.9.12 di @xmldom/xmldom; nessuna versione corretta è disponibile per xmldom.
If you want to get best quality of vulnerability data, you may have to visit VulDB.